简介

最近看到飞牛 NAS爆出的漏洞，路径遍历漏洞，NAS 只要放在 WAF 后面其实不会受到漏洞影响的。于是特来分享这篇 WAF 部署教程。

该文适合有一台小主机，性能还可以，有ipv4/6公网地址，并设置了DDNS。或者有公网 ip的用户

相信大家跟我一样有all in one小主机，家里也部署了几套应用(群晖 NAS、飞牛 NAS、emby等)，害怕哪天被黑客入侵了，丢失了数据，损失了时间。

网络拓扑

本次部署的 WAF 是使用的长亭家的雷池 WAF，官方推荐使用 docker 安装，所以想使用 WAF 先安装 docker，docker 安装教程请自行百度

下面是我家里的网络拓扑，如果有类似或者一样的可以抄作业了。我的all in one的配置是ESXI+OpenWrt+Windows10+Linux，底层使用的ESXI 系统作为虚拟机，大家也可以使用PVE，这个是不影响的，也不是本次的重点，重点是安装docker的那台Linux。

部署长亭 WAF

WAF 是 Web Application Firewall 的缩写，也被称为 Web 应用防火墙。区别于传统防火墙，WAF 工作在应用层，对基于 HTTP/HTTPS 协议的 Web 系统有着更好的防护效果，使其免于受到黑客的攻击。
注：WAF 并不能对非 HTTP 协议的流量进行防护哦，例如 SSH、FTP 等

也就是说如果我们的部署了 web 服务就可以使用 WAF 来拦截非法请求，保护我们的系统，WAF 官网地址是 。

准备阶段

Linux 镜像，这里使用的是Debian 系统
爱折腾的你和你的小手
安装 Linux 系统步骤省略，如有不会的可以自行百度即可，配置这块最好是给 2C4G，40G

WAF 安装

安装命令，需使用 root 权限安装,这里我的 Linux 的 ip 为10.10.10.164，这台机器只是用户演示怎么安装流程，后续会用我已经使用的机器去配置如何设置 WAF。
bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"

当看到这个的时候雷池就部署好了

访问 https://10.10.10.164:9443 端口进行登录访问

登录后的页面是这样的，后面我就用我现在使用的雷池，用于配置防护

WAF 站点防护

在配置站点防护前，请大家阅读长亭 waf 的配置手册，以下是我的配置流程，如果你们的设置和我一样，可以进行抄作业，如果不一样，请大家结合 配置手册 ，进行配置。
在没有部署 waf 之前我们想要通过公网访问我们内网的应用需要做端口映射(转发)，其网络拓扑是这样的

需要在路由器上配置 10.10.10.198 的 5000 端口，进行端口映射(转发)，才能访问到我们内网的群晖系统。
注：每个家用路由器配置页面都不一样，请根据自己的路由器型号自行配置，其原理都是一致的。

现在我们给群晖配置 WAF，其工作流程就是先把流量引到 WAF 上检测，然后 WAF 再用 Nginx 将流量转发到群晖上。其网络拓扑如下:

开始配置

1.了解工作流程后我们来配置 WAF ，首先上传我们的 SSL 证书,不上传证书也可以正常使用，证书上传不是必须。防护站点-证书管理-添加证书

2.添加我们需要防护的站点，比如添加我们的群晖 NAS。防护站点-站点管理-添加站点

上游服务器填写真实群晖 NAS 的访问地址，格式为http://ip+端口或者https://ip+端口
域名填写你的域名即可，这里的端口我们需要记录下来，因为群晖默认端口是 5000，这里我们也使用 5000
如果勾选 SSL 的话，就会出现中间下拉框选中证书，选择你上传后的证书即可。
这样我们就部署好了一个 web 应用的 waf 防护站点。接下来我们还需要设置端口映射(转发)

端口转发更换

设置端口转发，在上面我们说了，没有配置 waf 时，我们只需要直接填写 NAS 的地址+ip 就可以直接访问，现在我们部署了 waf，需要更改配置。
只需要更改内网地址为 WAF 的地址即可。其中内部端口要和 WAF 中配置的端口要一致，因为 WAF 上我们配置时使用的是 5000 端口，所以这里我们也是要设置 5000 端口，如果上面设置的是 6000 端口，这里内部端口就要设置为 6000。外部端口可以随便设置，这个端口就是你域名+这个端口，就可以访问到群晖 NAS。
注：每个家用路由器配置页面都不一样，请根据自己的路由器型号自行配置，其原理都是一致的。

WAF 防护测试

现在我们已经配置好了 WAF，我们就去试试有没有效果，在设置之前，我们需要更改一些 WAF 的配置，推荐配置如下，如果不配置的话，WAF 会经常拦截我们正常的应用，导致无法使用。
防护配置-频率设置

访问到这个页面就说明 WAF 已经部署成功，Ps.在部署的时候勾选了 SSL 证书，这里我们也是使用 https 访问的，因为 WAF 的作用类似 Nginx，我们把证书放在 Nginx 上，流量经过 Nginx 就会进行 SSL 证书校验，这样会让我们的 NAS 更加安全。

查看 WAF 面板，可以看到流量请求。

我们测试 WAF 的拦截效果，我们使用 https://xxxxxxx:5000/?id=1 and 1=1 #这个语句进行测试，看到下面这个页面说明 WAF 进行了拦截。

在 WAF 面板上可以看到攻击状态，因为我在内网进行测试，如果所以攻击 ip 显示的是我网关的地址。

这样我们的 WAF 部署就结束了，可以开心的玩耍了，再也不用担心应用被人干了还不知道了。

WAF 总结

这个 WAF 也不是那么完美，因为是免费的所以很多功能受限，比如日志功能等，但是他完全可以给我们的应用提供第一道防护，这次的飞牛 NAS 的 0Day 漏洞是完全可以防护的。